Beiträge von mastermind

  • Sichheitslücke!!! wordpress <= 2.0.5 sql injection exploit

    Ich habe es selbst gerade nochmal mit der neusten Version 2.0.6 probiert; weder mit register_globals=On noch mit register_globals=Off funktioniert der Exploit.

    Es darf also davon ausgegangen werden, dass 2.0.6 sicher ist und dass vorhergehende Versionen verwundbar sind, zumindest wenn register_globals=On ist.

    Zum Hintergrund: Wie funktioniert der Exploit?
    In der PHP-Datei wp-trackback.php wird die externe Dateneingabe nicht korrekt gefiltert, so das eine SQL-Injektion möglich ist. Was heißt das?

    Wenn ein Zugriff auf die Datenbank stattfindet, so werden alle Eingaben durch Anführungszeichen abgegrenzt. Enthält die Anfrage ein Anführungszeichen zuviel oder zuwenig, so wird der weitere Text als SQL-Befehl interpretiert. Bei der SQL-Injektion wird das gezielt ausgenutzt, indem Anführungszeichen von außen eingegeben werden. Wenn diese vor dem Datenbankzugriff von der jeweiligen Anwendung nicht ausgefiltert oder maskiert werden, so kann man von außen SQL-Befehle in die Datenbank einfügen.

    Der der derzeit kursierende Exploit ist relativ harmlos: Er liest nur die Benutzertabelle aus und verrät das gehashte Admin-Passwort. Damit beweist der Autor, dass (und wie) die Lücke ausnutzbar ist, ohne direkten Schaden anzurichten. Doch natürlich lässt sich der Exploit mit ein bissel Knoffhoff und wenig Aufwand so umstricken, dass er in die Datenbank schreibt, nämlich etwa einen neuen Benutzer mit Adminrechten.

    Ergo: Updaten, wer es noch nicht getan hat!!!

  • Sichheitslücke!!! wordpress <= 2.0.5 sql injection exploit

    Zitat von spartakus5

    als ich gestern abend in mein adminbereich eingelogt habe, da sah ich dass da 600 gäste online sind. da wusste ich dass da was nicht stimmt. meine seite wurde dann für paar stunden unerreichbar. später gings dann wieder.

    Das wird derzeit auch auf der Mailingliste diskutiert; der momentane Tenor ist aber, dass eben nicht die neuste Version betroffen ist. Zumindest konnten es einige Leute noch nicht reproduzieren.

    Hattest Du denn schon auf WP 2.0.6 aktualisiert?

    Was auf jeden Fall helfen sollte, ist die register_globals zu deaktivieren (ggf. an den Hoster wenden), denn laut Kommentar im Exploit muss diese Option aktiviert sein, damit es funktioniert.

    Man kann kann die register_globals für jeden vHost einzeln deaktivieren, indem man in die vHost-Konfiguration die folgende Zeile einfügt (Apache httpd):

    Code
    php_admin_value register_globals Off

    Danach muss natürlich der Apache neu gestartet/geladen werden.

  • Kann man Euer WordPress dafür einsetzen?

    Ist ja interessant, was man als 12jährige(r) heute so in der Schule macht. Auch dass Linux Lehrern ein Begriff und gar Lehrgegenstand ist, lässt hoffen. :)

    Zu Deinen Fragen: Soweit ich das sehe, sind alle Deine Anforderungen erfüllbar, notfalls eben durch Plugins. (WordPress ist von Haus aus eher schlank, bietet aber umfangreiche und durchdachte Schnittstellen für eine Vielzahl an Plugins)

    Den grafischen Editor gibt es auch, musst Du Dir einfach mal anschauen. Eine Testversion von WordPress ist schnell installiert, z.B. auf dem Heimrechner mit XAMPP. Da kannst Du alles mal testen und Dir einen Überblick verschaffen.

  • WordPress 2.1 beta

    Zitat von jottlieb

    Angeblich soll das Release ja so zum 22. geplant sein. Finde ich ziemlich kurz, wenn jetzt gerade mal Beta 1 draußen ist. Passt ja garnicht zum Tempo, welches sonst so vorgelegt wird.

    Ich denke, die Beta 1 ist doch schon seit einigen Tagen draußen. Außerdem war vorher gar nicht so klar, ob und in welchem Rahmen es überhaupt betas geben soll.

    Na jedenfalls... lange Rede, kurzer Sinn -- es gibt eine Beta 2:
    http://wordpress.org/beta/wordpress-2.1-beta2.zip

  • WordPress 2.1 beta

    Zitat von Nobbi

    Mal direkt gefragt: Würde ein Update einfach so funzen wie bisher oder wäre da Handarbeit angesagt. Dabei meine ich jetzt nicht die MySQL-Version, da gehe ich einfach mal davon aus, dass die Hoster schon auf dem neuesten Stand sind.

    Naja, die Hoster sind eben leider nicht immer auf dem neusten Stand. Manchmal patchen sie aus Kompatibilitätsgründen eben jahrelang alte Versionen, anstatt auf neuere zu aktualisieren. In Bezug auf Sicherheit mag das ok sein, aber die neusten Features bekommt man so nicht.

    Zitat von Nobbi

    Ich würde das schon gerne mal ausprobieren, es kann auf meinem Testserver auch wirklich nix passieren (also an "Live-Seiten"). Auch eine komplette Neuinstallation wäre machbar. Aber das Update ist ja das, was das Gewohnheitstier interessiert ;-).


    Ich habe zunächst eine bestehende Version (Dateien sowie Datenbank) der alten Version in die Testumgebung gespielt und dann das Upgrade durchgeführt (s.o., dritter Post). Die alten Dateien sollte man schon löschen, sonst gibt das nur Verwirrung. Vor allem in wp-includes/ hat sich so einiges getan. Das ist wohl die bevorzugte Methode; und ich würde nicht raten, die alte DB einfach in eine neuere Installation einzuspielen.

  • WordPress 2.1 beta

    Die optischen Änderungen sind in der Tat nicht so radikal wie beim Wechsel von 1.5 auf 2.0, aber man wird schon die eine oder andere Änderung schnell erkennen (z.B. auf der Admin-Startseite in den Planet-Feeds). Die gravierendste Änderung an der Oberfläche ist wohl die neue Linkverwaltung -- davon weiß etwa Monika das eine oder andere Lied zu singen.

    Unter der Haube hat sich aber so einiges geändert: So sind die ganzen $table-Variablen weggefallen, was das eine oder andere Plugin aus der Bahn werfen wird. Mit der Änderung an der Pluginverwaltung geht auch eine Änderung an der Datenbank einher: Es gibt prinzipiell keine Linkkategorien mehr, sondern nur noch Standard-Kategorien, die auch mit Links gefüllt werden können. Das wiederum beeinflusst Datenbank-Abfragen, die mit der Kategorientabelle arbeiten, denn die wird nun ein paar Einträge mehr haben. Außerdem wird die Mindestversion von MySQL von 3.23.23 auf 4.0 hochgesetzt, da neuere Datenbank-Funktionalitäten genutzt werden.

    Es sieht so aus, als müsse man nicht unbedingt sofort auf 2.1 aktualisieren; es wird auf den Mailinglisten auch von einer parallelen/späteren 2.0.7 gemunkelt. Aber wer aktualisieren will, sollte auf Komplikationen vorbereitet sein -- vor allem bei unternehmenskritischen Anwendungen.

  • kann mich nur von einem Rechner aus anmelden

    Zitat von MaD

    naja das seh ich ein wenig anders ... was bringt es, gleich immer mit einer Neuinstall zu kommen ... mich interessiert eher wo das Problem liegt, wie es entstanden ist usw.

    und du musst das Problem ja nur einmal bekämpfen und hast dann mit der Zeit für viele Probleme eine Lösung parat ... das nenne ich lösungsorientiert ...

    Ok ok, Du hast ja recht. Im Prinzip sehe ich das genau so. Nur im hiesigen Fall hatte/habe ich das Gefühl, dass es eins von diesen "unerklärlichen" Problemen ist, wo ein winziges Detail kaum ergründbare Probleme bereitet und das Ziel der Übung mit einer Neuinstallation schneller erreicht werden kann.

    Stollentroll: Es ist keine gute Idee, die Versionen zu mischen. Wenn Du auf 2.0.6 aktualisierst, dann komplett. Wie das schnell und einfach geht, ist ja in diesen Foren in den letzten Tagen oft genug diskutiert worden.

  • Subdomain

    Du musst einen neuen Ordner anlegen und dort ein frisches WordPress reinpacken. Für eine Subdomain musst Du zusätzlich in Deiner Serverkonfiguration den betreffenden Ordner als DocumentRoot für die Subdomain einrichten. Danach ganz normal installieren.

  • Fremdwerbung in mein Theme integriert!?!

    Das ist eine in mehrerer Hinsicht schwierige Frage: Sowohl rechtlich als auch technisch. Ich bin kein Anwalt, aber ich kann Dir mal meine Meinung dazu mitteilen.

    Rechtlich gesehen ist es so, dass Du Deine Themes -- so weit ich gesehen habe -- unter der CC-BY-NC-SA lizensierst. Diese Lizenz erlaubt es, dass die Inhalte verändert werden und verändert weitergegeben werden. Wenn also jemand so gemein ist, Dein Theme mit Werbung zu versauen und dann weiterzuverteilen, dann ist das erstmal ok. Allerdings legt die von Dir gewählte Lizenz auch fest, dass die Weitergabe nichtkommerziell sein muss. Und da wiederum verstößt der Theme-Anbieter gegen die Lizenz, denn zum einen macht er AdSense-Werbung auf der Download-Seite, zum anderen wird er für den Einbau des Links sicherlich Geld von dem Inhaber der jeweiligen Website bekommen haben. Es liegt also m.E. klar ein kommerzieller Charakter vor.

    Technisch gesehen ist es allerdings schwierig, Dich gegen diesen Verstoß zu wehren -- vor allem, da der Anbieter nicht in Deutschland sitzt. Juristisch wirst Du also nicht viel machen können.

    Einige Möglichkeiten hast Du aber doch:
    - Du kannst natürlich den Anbieter auf den Verstoß hinweisen (siehe Hinweis ganz unten auf dessen Seite).
    - Du kannst an mehreren Stellen auf die Sauerei hinweisen und Dich mit anderen "geschädigten " Theme-Autoren verbünden. Massive schlechte Publicity könnte den Anbieter zum Einlenken bewegen.
    - Du kannst Google darauf hinweisen, dass der Anbieter auf einer zumindest teilweise rechtswidrigen Seite AdSense schaltet. (Zauberwort: DMCA)
    - Ansonsten mal nach "Bitacle" suchen; die machen ähnliche Sauereien mit Blog-Inhalten. Und da haben einige der Geschädigten schon sehr gute Gegenmaßnahmen erdacht.

  • Seiten unter "Verwalten" -> "Seiten"

    Generell stellt WordPress auch den Anspruch, ein CMS zu sein -- da dürfen 150 statische Seiten kein Problem sein. Ich stimme allerdings zu, dass die Verwaltung der Seiten verbesserungswürdig ist. Immerhin gibt es eine Suchfunktion, mit der man an eine kleinere Anzahl an Seiten kommt. Auch kann man über den Direktlink http://example.com/wp-admin/post.php?action=edit&post=123 die Seite zum Bearbeiten aufrufen. Man könnte natürlich auch die edit-pages.php hacken und sich eine kleine Navigation reinbasteln. Ich würde aber vorher mal testweise eine Spielwiese mit WordPress 2.1 beta aufsetzen und schauen, ob es dort vielleicht schon gelöst ist.